user_badgeのWebhookペイロードにユーザー名を含めることはできますか?

最小権限の原則です。この外部サービスは別のサーバー上で実行され、その役割を果たすにはDiscourseへの読み取りアクセスのみで十分です。インフラストラクチャ全体でマスターキーが浮遊している数は、少ないほど良いです。